信息來源：Cnbeta

援引外媒報(bào)道，一支有國家背景的黑客組織正利用現(xiàn)有 macOS 后門對(duì)越南地區(qū)的 Mac 用戶發(fā)起攻擊。根據(jù)趨勢科技近日發(fā)布的一份最新報(bào)告，這款升級(jí)版惡意軟件能讓攻擊者訪問受感染的 Mac，并監(jiān)控和竊取敏感信息。

圖 1-2. OceanLotus樣本（上）和最新OceanLotus樣本（下）的比較

圖 3. 樣本文件名、圖標(biāo)和app bundle結(jié)構(gòu)

圖 4. "." 和 "doc"之間的特殊字符

圖 5. 樣本的代碼簽名信息

圖 6. “ALL tim nha Chi Ngoc Canada” 文件內(nèi)容

圖 7. 執(zhí)行文件后展示的文件

圖 8. Plist文件 ~/Library/LaunchAgents/com.apple.marcoagent.voiceinstallerd.plist

圖 9. 釋放文件的時(shí)間戳

圖 10. 加密的字符串

圖 11-12. 解密方法

報(bào)告指出，該惡意軟件以 ZIP 文件的形式進(jìn)行傳播，并偽裝成 Word 文檔，通過釣魚電子郵件方式進(jìn)行傳播。目前，使用該惡意軟件偽裝的 ZIP 文件能夠通過各種安全軟件的檢測。

一旦安裝在計(jì)算機(jī)上，該惡意軟件就會(huì)啟動(dòng)一系列有效負(fù)載，這些有效負(fù)載會(huì)更改訪問權(quán)限并在系統(tǒng)上安裝后門。該后門程序使攻擊者可以偵聽和下載用戶文件，獲取有關(guān)計(jì)算機(jī)的其他信息以及上載其他惡意軟件。

趨勢科技認(rèn)為，該后門程序與一個(gè)名為 OceanLotus 或 APT32 的黑客組織有關(guān)，該組織被認(rèn)為與越南政府有聯(lián)系。 OceanLotus 以針對(duì)在越南工作的外國組織為目標(biāo)而聞名，人們認(rèn)為他們的目標(biāo)是通過網(wǎng)絡(luò)間諜活動(dòng)來支持越南擁有的公司。

研究人員寫道：“ OceanLotus等威脅組織正在積極更新惡意軟件變種，以逃避檢測并提高持久性”。由于該惡意軟件似乎是為特定地理區(qū)域內(nèi)的針對(duì)性間諜活動(dòng)而設(shè)計(jì)的，因此它不太可能給大多數(shù)macOS用戶帶來很大的風(fēng)險(xiǎn)。